Stručne: Či server po hacku nanovo nainštalujete, alebo vyčistíte, závisí od toho, ako isto poznáte rozsah vniknutia. Ak mal útočník možno práva root, čas vniknutia je nejasný alebo chýbajú logy, je spoľahlivejšou voľbou nové vybudovanie z dôveryhodných zdrojov. Vyčistenie prichádza do úvahy iba pri úzko ohraničenom, dobre doloženom napadnutí. V oboch prípadoch platí: najprv zabezpečiť dôkazy a uzavrieť zraniteľnosť, potom upratovať.
Prečo sa táto otázka po PHP2Shell kladie obzvlášť často
PHP2Shell umožňuje podľa php.net spustenie škodlivého kódu na diaľku bez prihlásenia. Kto prevádzkoval nezáplatovaný server, si preto musí položiť otázku, či sa v čase od 17. 10. 2026, teda od prvého pozorovaného pokusu o útok podľa správ médií, niečo nestalo. Záplata na túto otázku neodpovie a neexistujú zverejnené, potvrdené Indicators of Compromise.
Ak sa potom nájde podozrivý súbor, neznámy proces alebo cudzia cron úloha, nastáva rozhodovanie. Impulz je často rýchlo mazať alebo okamžite inštalovať nanovo. Oboje môže byť správne, ale nie ako prvý krok.
Poradie pred rozhodnutím
Skôr než si vyberiete medzi vyčistením a novou inštaláciou, treba vybaviť tri veci. Platia pre obe cesty.
- Zadržať: Server odpojiť od siete alebo obmedziť prístup na najnutnejšie, bez vypnutia, ak sa má ešte zabezpečiť pamäť.
- Zabezpečiť dôkazy: Zabezpečiť logy, súbory, databázu a podľa možnosti obraz systému, s dátumom a kontrolným súčtom. Prečo je to potrebné pred každou novou inštaláciou, vysvetľuje článok Zabezpečiť dôkazy pred novou inštaláciou.
- Zapojiť poisťovateľa a ochranu údajov: Mnohé kybernetické poistky očakávajú, že sa podstatné kroky zosúladia. Upozornenia nájdete v článku Kybernetické poistenie: čo sa počíta pri poistnej udalosti. Či existuje oznamovacia povinnosť podľa GDPR, posudzuje zodpovedný pracovník pre ochranu údajov alebo právnik.
Až potom sa oplatí samotné zvažovanie.
Server nanovo nainštalovať po hacku alebo vyčistiť: kritériá
| Kritérium | Vyčistiť | Nanovo nainštalovať |
|---|---|---|
| Rozsah vniknutia | Úzko ohraničený, doložený, napríklad jeden súbor v adresári nahrávania bez ďalších stôp | Nejasný alebo s náznakmi prístupu k systému |
| Možné práva root útočníka | Vylúčené s dobrými dôkazmi | Nedá sa vylúčiť |
| Dostupnosť logov | Úplné za relevantné obdobie | Chýbajúce, prepísané alebo zmanipulovateľné |
| Náročnosť | Nižšia, ak je nález jasný | Vyššia, ale lepšie plánovateľná |
| Zostávajúca neistota | Vyššia, skryté zadné vrátka sa ťažko vylučujú | Nižšia, ak sa čisto vybuduje z dôveryhodných zdrojov |
| Doba výpadku | Väčšinou kratšia | Väčšinou dlhšia, s prípravou dobre riaditeľná |
| Vhodnosť pre staré systémy | Problematické, ak je systém aj tak zastaraný | Dobrá príležitosť prejsť na podporovanú verziu PHP |
Ako pravidlo platí: Čím menej viete, tým viac hovorí za nové vybudovanie. Pri zraniteľnosti v interpreteri PHP, ktorá spúšťa kód v kontexte používateľa webservera, môže útočník využiť ďalšie zraniteľnosti na získanie vyšších práv. To sa bez dôkladného vyšetrenia dá sotva vylúčiť.
Obe cesty v praxi
Čo „nanovo nainštalovať“ skutočne znamená
Nanovo nainštalovať neznamená skopírovať starú zálohu na čerstvý server. Nové vybudovanie začína čistým operačným systémom z oficiálneho zdroja, aktuálnymi balíkmi a záplatovanou verziou PHP. Aplikácia sa nainštaluje z originálu výrobcu, pluginy a témy rovnako.
Až potom pribudnú vlastné obsahy, a to preverené. Nahrané súbory nesmú obsahovať spustiteľné skripty, databáza môže obsahovať zavlečený obsah, napríklad skryté administrátorské účty alebo skripty v príspevkoch. Konfiguračné súbory sa napíšu nanovo namiesto kopírovania. Všetky prístupové údaje sa obnovia: databáza, administrátori CMS, kľúče SSH, kľúče API, hostingový panel.
Zálohy tu zohrávajú dôležitú úlohu, ale iba ak je ich stav pred vniknutím a samy neboli zmenené. Viac generácií na oddelených miestach to robí preveriteľným; viac v článku Zálohy podľa pravidla 3-2-1.
Keď je vyčistenie obhájiteľné
Vyčistenie môže dávať zmysel, ak bolo napadnutie odhalené skoro, existujú úplné logy a vyšetrovanie nepriniesie žiadny náznak ďalších prístupov. Vtedy sa nájdené súbory po zabezpečení odstránia, preveria sa cron úlohy, používateľské účty a kľúče SSH a jadrové súbory sa porovnajú s originálom výrobcu.
Dôležité je realistické posúdenie: Webshelly sú často nenápadné a ukryté na viacerých miestach. Ako ich nájdete, opisuje článok Rozpoznanie a odstránenie webshellov. Po vyčistení by sa mal server pozorne sledovať, aby sa prehliadnuté zadné vrátka prejavili.
Nič nemažte, kým nie sú zabezpečené logy a súbory, a zraniteľnosť uzavrite, skôr než sa server vráti do siete. Inak stratíte stopy a pozvete ďalšie vniknutie.
Kedy nepotrebujete dodávateľa
Pri jednoduchom webe na zdieľanom hostingu, kde poskytovateľ hostingu spravuje systém a potvrdzuje záplatu PHP, často rozhodnutie vôbec nie je na vás. Aplikáciu môžete nanovo nainštalovať z originálu, obsahy preveriť a prístupové údaje obnoviť, s podporou poskytovateľa hostingu. Aj skúsený interný tím zvládne nové vybudovanie sám, ak sedí zabezpečenie dôkazov a dokumentácia.
Externá pomoc sa oplatí, ak sa nedajú vylúčiť práva root, môžu byť dotknuté osobné údaje, je zapojené poistenie alebo súvisí viac systémov.
Ako konkrétne pomáha PHP SOS?
- Logy, súbory a databázu zabezpečíme tak, aby mali dôkaznú hodnotu, skôr než sa čokoľvek zmení.
- Posúdime rozsah vniknutia a odporučíme vyčistenie alebo nové vybudovanie s odôvodnením, oddelene podľa doložené, pravdepodobné a neznáme.
- V prípade potreby server vybudujeme nanovo z dôveryhodných zdrojov, so záplatovanou verziou PHP a obnovenými prístupmi.
- Odstránenie malvéru preberáme tam, kde je vyčistenie obhájiteľné, a dokumentujeme každý krok.
Záver
Na otázku „nanovo nainštalovať alebo vyčistiť?“ odpovedá znalosť vniknutia. Kto rozsah nepozná s istotou, buduje nanovo. Kto ho dokáže dobre doložene ohraničiť, môže čistiť. V oboch prípadoch platí rovnaké poradie: zadržať, zabezpečiť, uzavrieť zraniteľnosť, potom upratovať.
Časté otázky
Je nová inštalácia po hacku vždy lepšia?
Nie vždy, ale často. Ak je nejasné, ako ďaleko sa útočník dostal, je nové vybudovanie z dôveryhodných zdrojov zvyčajne spoľahlivejšou voľbou. Pri úzko ohraničenom, dobre doloženom napadnutí môže stačiť vyčistenie.
Môžem jednoducho nahrať starú zálohu?
Iba ak je isté, že záloha vznikla pred vniknutím a neobsahuje zadné vrátka. Navyše musí byť zraniteľnosť predtým uzavretá, inak je server okamžite opäť napadnuteľný. Novšie údaje sa musia preveriť osobitne.
Čo musím zabezpečiť pred novou inštaláciou?
Logy, kópiu súborov a databázy a ak je to možné, obraz systému. Tieto dôkazy potrebujete na analýzu príčiny, poistenie a prípadné oznámenie. Po vymazaní sú preč.
Stačí zmazať nájdený webshell?
Zriedka. Útočníci často zakladajú viac zadných vrátok, napríklad cron úlohy, používateľské účty alebo kľúče SSH. Kto zmaže iba viditeľný súbor, ostatné prístupy nechá otvorené.